Trojan:Win32/Powemet.A!attk и не только

@Joramormont · Регистрация: 06.11.2019

Студворк — интернет-сервис помощи студентам

Здравствуйте, Windows Defender второй день по несколько раз блокирует угрозу Trojan:Win32/Powemet.A!attk, а так же пару раз были другие трояны, но не успел зафиксировать.
SpyHunter 5 нашёл вроде, но нужно ждать 48 часов. Dr Web CureIt не нашёл ничего.

@thyrex · 10.07.2022, 00:08

Тогда как вариант попробовать снести активатор (хотя на не родной по идее Защитник должен был тоже реагировать) и проверить, будет ли воспроизводиться проблема.

Добавлено через 1 минуту
Папка от AmmyAdmin сохранилась в ProgramData, если судить по последнему логу Farbar. Тоже под снос.

@Joramormont · 10.07.2022, 00:10 **[ТС]**

А как удалить активатор? Он портабельный

Добавлено через 46 секунд
Или я не понял, что подразумевается под "активатор"..

@thyrex · 10.07.2022, 00:20

KMS Auto же вроде бы используете. Как минимум папку с ним нужно удалить, если он не родной. Хотя в неродном кажется есть возможность удаления при запуске установщика

@Joramormont · 10.07.2022, 00:27 **[ТС]**

Что значит не родной? Кмс вроде в архиве , его удалю. А дальше что нужно сделать?

@thyrex · 10.07.2022, 00:44

Есть еще папка C:\ProgramData\KMSAuto. Архив с активатором не трогайте. Если не он виновник бед, то придется же систему активировать заново

Добавлено через 41 секунду
После удаления папки естественно перезагрузиться и смотреть реакцию Защитника

@Joramormont · 10.07.2022, 00:48 **[ТС]**

Спасибо. Все завтра уже сделаю. Правильно понял, что сейчас нужно только папку удалить и перезагрузиться, больше ничего?

@SQx · 10.07.2022, 06:34

Здравствуйте,

Попробуйте также запустить утилиту Procmon и проверить, если он отлавливает процесс cmd.exe на момент срабатывания зашитника.

P.S.Отфильтруйте по имени процесса (Proccess name) cmd.exe

@Joramormont · 10.07.2022, 12:17 **[ТС]**

Как ни странно, удаление папки kms ничего не дало.
https://disk.yandex.ru/d/BvK95v2QImcDog

@SQx · 12.07.2022, 02:15

Не удается отловить источник. Могли бы уточнить, если вы запускаете какие-то программы перед возникновением проблемы?

Могли бы также собрать следующий лог: Kaspersky Get System Info

@Joramormont · 12.07.2022, 10:52 **[ТС]**

Защитник срабатывает независимо от того, включаю я что либо или нет. Он срабатывает через 2-3 минуты после запуска, но в журнале время стоит как раз эти 2-3 минуты назад. Без интернета тоже срабатывает

@SQx · 13.07.2022, 01:19

В логах GSi также ничего вредоносного не заметил.

Лаборатория Касперского добавила детект как Trojan-Downloader.PowerShell.Agent.rp, могли бы скачать KVRT и проверить ПК.
Также могли пожалуйста также сменить пароль к учетной записи Windows.

@SQx · 13.07.2022, 14:45

Здравствуйте,

Ранне я отправлял ссылку на стандартную версию, но могли бы пожалуйста проверить расширенной версией KVRT, требуются все логи из C:\KVRT_Data, полученные после завершения процесса сканирования.

@Joramormont · 13.07.2022, 15:10 **[ТС]**

Здравствуйте, у меня уже 5 часов сканируется) Отменить, поставить с расширенной?

@SQx · 13.07.2022, 15:16

Если осталось немного подождать подождите пожалуйста его завершения. Если он не поможет найти источник повторного заражения, то пожалуйста запустите расширенную, так как у него расширенные возможности. Спасибо

@Joramormont · 13.07.2022, 22:53 **[ТС]**

Ни обычная, ни расширенная версия к сожалению ничего не нашли

Вот логи https://disk.yandex.ru/d/6amZPobhp94zcg

@SQx · 14.07.2022, 14:41

Здравствуйте,

Логи KVRT можете удалять.

Вирусным аналитикам ЛК удалось найти вредоносное ПО в лога KVRT, оно будет детектироваться как HEUR:GenericAutorun.Powedon.j и удаляться при полной проверке. Детект выйдет приблизительно через 2-5 дней.

На данный момент пока у меня нет других подробностей. Спасибо.

@Joramormont · 14.07.2022, 22:14 **[ТС]**

Спасибо большое. Жду

@SQx · 19.07.2022, 13:17

Здравствуйте,

Я получил сообщение от ЛК детект HEUR:GenericAutorun.Powedon.j со вчера 15 июля, должен уже обнаруживаться несколько раз в день. Уточните пожалуйста, если продукты Лк установленные на вашем компьютеры детектят источник заражения, если да сообщите пожалуйста в каком файле?

@Sandor · 19.07.2022, 13:24

Если это KVRT, то упакуйте папку

C:\KVRT2020_Data\Reports

и прикрепите к сообщению.

@Joramormont · 19.07.2022, 18:10 **[ТС]**

KIS лицензия сегодня при полной проверке также ничего не нашёл, при отключения дефендер детектит. Может я что то не так делаю?

Новые блоги и статьи Все статьи Все блоги /
Теория всего 6. Судьба неотвратима? anaschu 21.07.2026 Математическое доказательство Судьбы: Точка бифуркации в едином тензорном ядре Модели ВсегоСвежее обновление питоновского ядра «Soil Chemistry 2. 0» дало нам неопровержимое математическое. . .	Теория всего 5. ядро Теории Всего: Математический изоморфизм репликаторов и иллюзия свободы воли anaschu 21.07.2026 Единое ядро Теории Всего: Математический изоморфизм репликаторов и иллюзия свободы воли Главная задача «Модели Всего» — наглядно продемонстрировать наличие системной «судьбы» (аттракторов. . .	сукцессия 37. Внедрил дипсик в свой оркестр из ИИ. У него закончилось пространство чата, потому опубликую выводы из его работы здесь anaschu 21.07.2026 ==================================================================== КОНТЕКСТ: Моделирование микоризной сукцессии (AM → ECM) ==================================================================== . . .	сукцессия 36. Делаю прогоны модели около порога бифуркации (превращения эндо микоризы в экто микоризу) anaschu 21.07.2026 СУКЦЕССИЯ МИКОРИЗ: КАК МАТЕМАТИКА ОБЪЯСНЯЕТ ПОДЗЕМНУЮ ВОЙНУ Мы привыкли думать, что лес — это деревья. А грибы — это то, что мы собираем в корзинку осенью. Но если заглянуть под землю, окажется,. . .
ИИ и человечность kumehtar 21.07.2026 Забавно, что общаясь с ИИ, я замечаю, насколько он высказывается умно, и насколько верит в людей. Он умеет прощать. Он знает как отвечать не обесценивая опыт других людей, даже если сам не верит. Он. . .	Нейтральные знания ..., ... чистая наука. Пока что-то проходит модерацию на Хабре, стоит развить мысль ... Hrethgir 20.07.2026 К таким радикальным взглядам я конечно в той публикации не приходил, но чтобы скоротать вечер, решил углубиться немного. 1. Почему показания термометра заряжены целью? Цель заложена в самом. . .	Установка нескольких штампов электронной подписи в строго определенных местах файла docx ВладимирСамохин 19.07.2026 (В!) Работа с Электронной подписью - это неотъемлемая часть современного документооборота. Но что делать, если нужно поставить несколько штампов электронной подписи в строго определенных местах. . .	сукцессия 35. Научная статья о проделанной работе anaschu 19.07.2026 Написал в формате латекс и пдф

@thyrex 14456 / 7495 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	10.07.2022, 00:08
	Тогда как вариант попробовать снести активатор (хотя на не родной по идее Защитник должен был тоже реагировать) и проверить, будет ли воспроизводиться проблема. Добавлено через 1 минуту Папка от AmmyAdmin сохранилась в ProgramData, если судить по последнему логу Farbar. Тоже под снос. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:10 [ТС]
	А как удалить активатор? Он портабельный Добавлено через 46 секунд Или я не понял, что подразумевается под "активатор".. 0

@thyrex 14456 / 7495 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	10.07.2022, 00:20
	KMS Auto же вроде бы используете. Как минимум папку с ним нужно удалить, если он не родной. Хотя в неродном кажется есть возможность удаления при запуске установщика 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:27 [ТС]
	Что значит не родной? Кмс вроде в архиве , его удалю. А дальше что нужно сделать? 0

@thyrex 14456 / 7495 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	10.07.2022, 00:44
	Есть еще папка C:\ProgramData\KMSAuto. Архив с активатором не трогайте. Если не он виновник бед, то придется же систему активировать заново Добавлено через 41 секунду После удаления папки естественно перезагрузиться и смотреть реакцию Защитника 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:48 [ТС]
	Спасибо. Все завтра уже сделаю. Правильно понял, что сейчас нужно только папку удалить и перезагрузиться, больше ничего? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	10.07.2022, 06:34
	Здравствуйте, Попробуйте также запустить утилиту Procmon и проверить, если он отлавливает процесс cmd.exe на момент срабатывания зашитника. P.S.Отфильтруйте по имени процесса (Proccess name) cmd.exe 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 12:17 [ТС]
	Как ни странно, удаление папки kms ничего не дало. https://disk.yandex.ru/d/BvK95v2QImcDog 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	12.07.2022, 02:15
	Не удается отловить источник. Могли бы уточнить, если вы запускаете какие-то программы перед возникновением проблемы? Могли бы также собрать следующий лог: Kaspersky Get System Info 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 01:19
	В логах GSi также ничего вредоносного не заметил. Лаборатория Касперского добавила детект как Trojan-Downloader.PowerShell.Agent.rp, могли бы скачать KVRT и проверить ПК. Также могли пожалуйста также сменить пароль к учетной записи Windows. 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 14:45
	Здравствуйте, Ранне я отправлял ссылку на стандартную версию, но могли бы пожалуйста проверить расширенной версией KVRT, требуются все логи из C:\KVRT_Data, полученные после завершения процесса сканирования. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	13.07.2022, 15:10 [ТС]
	Здравствуйте, у меня уже 5 часов сканируется) Отменить, поставить с расширенной? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 15:16
	Если осталось немного подождать подождите пожалуйста его завершения. Если он не поможет найти источник повторного заражения, то пожалуйста запустите расширенную, так как у него расширенные возможности. Спасибо 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	13.07.2022, 22:53 [ТС]
	Ни обычная, ни расширенная версия к сожалению ничего не нашли Вот логи https://disk.yandex.ru/d/6amZPobhp94zcg 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	14.07.2022, 14:41
	Здравствуйте, Логи KVRT можете удалять. Вирусным аналитикам ЛК удалось найти вредоносное ПО в лога KVRT, оно будет детектироваться как HEUR:GenericAutorun.Powedon.j и удаляться при полной проверке. Детект выйдет приблизительно через 2-5 дней. На данный момент пока у меня нет других подробностей. Спасибо. 1

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	14.07.2022, 22:14 [ТС]
	Спасибо большое. Жду 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	19.07.2022, 13:17
	Здравствуйте, Я получил сообщение от ЛК детект HEUR:GenericAutorun.Powedon.j со вчера 15 июля, должен уже обнаруживаться несколько раз в день. Уточните пожалуйста, если продукты Лк установленные на вашем компьютеры детектят источник заражения, если да сообщите пожалуйста в каком файле? 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	19.07.2022, 18:10 [ТС]
	KIS лицензия сегодня при полной проверке также ничего не нашёл, при отключения дефендер детектит. Может я что то не так делаю? 0